O Conselho Nacional de Saúde (CNS) aprovou a Recomendação nº 20/2026, propondo salvaguardas contra a monetização de dados da Rede Nacional de Dados em Saúde (RNDS), diretrizes de soberania técnica e participação do controle social na governança da saúde digital do Sistema Único de Saúde (SUS).
O pano de fundo é a tramitação, na Câmara, do substitutivo ao Projeto de Lei nº 5.875/2013 (PRL nº 9). Originalmente voltado ao cartão do usuário do SUS, o projeto passou a concentrar o debate sobre a interoperabilidade de dados em saúde entre os setores público e privado, tendo a RNDS como eixo.
Trata-se de recomendação, não de norma cogente: não cria obrigações diretas para empresas nem altera as bases legais da Lei Geral de Proteção de Dados Pessoais (LGPD). Mas não é manifestação meramente política: sinaliza quais dispositivos o CNS quer ver no texto final e, ao mencionar operadoras de planos de saúde, indústrias farmacêuticas e empresas de tecnologia, indica a quem dirige as restrições.
As recomendações se organizam em três eixos. O primeiro trata da proteção contra a monetização e o desvio de finalidade: vedação à comercialização de registros do SUS e a seu uso para fins lucrativos incompatíveis com o interesse público, complementando o art. 11 da LGPD, além de autenticação multifator, acesso baseado na função profissional e registros auditáveis de toda visualização, consulta ou envio de dados.
O segundo trata da interoperabilidade técnica: minimização dos dados enviados à RNDS, padrões abertos obrigatórios, prioridade a código aberto para evitar dependência de fornecedor único e gestão dos dados sob governança pública e controle estatal.
O terceiro reafirma o controle social: ferramentas simples e gratuitas para que o cidadão autorize ou recuse compartilhamentos (quando submetidos à sua vontade), revogue consentimentos e se oponha, com identificação clara dos tratamentos fundados em outras bases legais; e participação formal e contínua do CNS na governança da saúde digital e na revisão das regras da RNDS.
Boa parte do que o CNS recomenda já encontra fundamento no direito vigente. Dados de saúde vinculados a pessoa natural são dados pessoais sensíveis (art. 5º, II, da LGPD). O art. 11, § 4º, veda seu compartilhamento entre controladores para obter vantagem econômica, ressalvadas hipóteses ligadas à prestação de serviços de saúde em benefício dos titulares, e o § 5º proíbe às operadoras o uso desses dados para seleção de riscos.
Os arts. 26 e 27 condicionam o compartilhamento de dados pelo Poder Público com entidades privadas. Para pesquisa, o art. 13 admite que órgãos de pesquisa acessem dados pessoais em estudos de saúde pública, desde que tratados exclusivamente dentro do órgão, em ambiente seguro, preferencialmente anonimizados ou pseudonimizados, vedada a transferência a terceiros.
O conceito de órgão de pesquisa (art. 5º, XVIII) abrange a administração pública e pessoas jurídicas de direito privado sem fins lucrativos. Farmacêuticas, healthtechs e desenvolvedores de inteligência artificial (IA) não se enquadram. Já hoje, portanto, o acesso de entes privados com fins lucrativos a dados identificáveis do SUS depende de base legal própria. Na prática, o modelo usual é a parceria com entidade sem fins lucrativos, que conduz o estudo e repassa ao parceiro apenas resultados agregados ou dados anonimizados.
A recomendação propõe elevar essas restrições a disciplina específica da RNDS, com vedação expressa à comercialização, obrigações mínimas de segurança e rastreabilidade e papel mais robusto do controle social. Incorporadas ao PL, ganharão contornos legais próprios, com reflexos diretos sobre contratos, sistemas e projetos de pesquisa.
A questão mais sensível para o setor de life sciences é a fronteira entre pesquisa legítima e exploração comercial. A recomendação não proíbe pesquisas patrocinadas pela indústria: nos considerandos, reconhece que devem observar a LGPD e a avaliação ética prévia do Sistema Nacional de Ética em Pesquisa com Seres Humanos, nos termos da Lei nº 14.874/2024 e do Decreto nº 12.651/2025, e pede salvaguardas contra a comercialização de dados identificáveis e a reidentificação de dados anonimizados. A parte dispositiva, porém, não trata da pesquisa de forma específica, e o item 1.a inclui a indústria farmacêutica entre os destinatários das salvaguardas sem distinguir esse uso. É essa lacuna que o PL terá de preencher.
A reidentificação é ponto tecnicamente relevante. Pelo art. 12 da LGPD, dados anonimizados não são dados pessoais, salvo se a anonimização puder ser revertida com esforços razoáveis. Em grandes bases de saúde, sobretudo cruzadas com outras fontes ou usadas para treinar modelos de IA, esse risco deixa de ser hipotético e a robustez da anonimização tende a ocupar o centro do debate.
O desafio do legislador será não inviabilizar atividades de evidente interesse público muitas vezes conduzidas com o setor privado: estudos de mundo real que subsidiam a Conitec, farmacovigilância e tecnovigilância, monitoramento de tecnologias incorporadas, pesquisas em doenças raras. Uma vedação genérica a entidades com fins lucrativos empobreceria a evidência disponível ao próprio SUS.
Alguns critérios parecem úteis: finalidade declarada e verificável; base legal aplicável; grau de identificabilidade dos dados; contraprestação pelo dado em si, distinta da remuneração por serviços de pesquisa; aprovação ética prévia; e retorno do conhecimento ao sistema público.
Para a indústria farmacêutica e de dispositivos médicos, uso secundário de dados e estudos de mundo real devem ser revisitados quanto à origem dos dados, à base legal e ao desenho contratual com instituições públicas e parceiros; arranjos em que a contraprestação se vincule ao acesso a dados, e não a serviços prestados, tendem a sofrer maior escrutínio.
Para healthtechs e fornecedores de tecnologia, autenticação multifator, controle de acesso por função, trilhas de auditoria e padrões abertos podem se converter em requisitos de integração à RNDS e de contratação pública.
Na pesquisa clínica, patrocinadores, centros e CROs devem assegurar coerência entre base legal, protocolo, termo de consentimento e Lei nº 14.874/2024, sobretudo no acesso a prontuários ou bases do SUS. No desenvolvimento de IA, o treinamento de modelos com dados do sistema público tende a ser dos pontos mais disputados, o que reforça avaliações de risco de reidentificação e documentação da origem dos dados.
Os dados do SUS têm evidente valor estratégico para o cuidado, a gestão e a ciência. A pergunta que o PL nº 5.875/2013 precisará responder não é se podem ser usados fora da assistência, mas sob quais condições, com quais garantias e em benefício de quem. Uma resposta equilibrada protege o titular sem paralisar a pesquisa e a inovação de que o próprio sistema depende.
Para as empresas, o momento recomenda acompanhar de perto a tramitação e revisar desde já a governança à luz da LGPD. Quem chegar ao texto final com a casa em ordem estará mais bem posicionado para operar sob as novas regras.